CVE-2026-87719
GitLab a corrigé un problème dans GitLab EE affectant toutes les versions de 18.3 avant 19.1.8, 19.2 avant 19.2.6 et 19.3 avant 19.3.2 qui, sous certaines conditions, pourrait permettre à un utilisateur authentifié disposant d'un accès Duo Chat d'obtenir les configurations d'instance Advanced Search et des identifiants sensibles en utilisant un argument de souscription GraphQL spécialement conçu pour contourner la sérialisation et effectuer une recherche d'objet serveur.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| gitlab | gitlab | < 18.11.12 |
Articles liés
Une faille de traversée de répertoires dans GitLab fait son entrée dans le catalogue KEV de la CISA, avec un délai de trois jours pour appliquer le correctif
CVE-2026-85706 : faille GitLab critique notée 10, traversée de répertoires via API. La CISA impose un patch sous 3 jours, avant le 14 septembre.
Une faille critique de lecture de fichiers dans GitLab exploitée dans les 24 heures suivant la publication du correctif
CVE-2026-85706 permet de lire des fichiers GitLab sans authentification. Exploitée en 24h, score CVSS 10 : versions concernées et correctifs urgents.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.